KI-generierter Code und Open-Source-Lizenzen

Ein Due-Diligence-Anwalt bei einer Series-A markiert in Ihrem Frontend-Bundle zwei kurze JavaScript-Funktionen als deutlich ähnlich zu einer GPL-3.0-Datei auf GitHub. Ihre Entwicklerin hat Cursor verwendet, um die Formularvalidierung zu schreiben, und nicht weiter darüber nachgedacht. Dieser Artikel geht durch, ob die Exponiertheit real ist, wer sie trägt und wie Sie damit umgehen.

<figure className="my-8"> <svg role="img" aria-labelledby="lizenzkette-title" aria-describedby="lizenzkette-desc" viewBox="0 0 1200 540" xmlns="http://www.w3.org/2000/svg" style={{ maxWidth: '100%', height: 'auto' }}> <title id="lizenzkette-title">Wie KI-vorgeschlagener Code zu einer Lizenz-Exponiertheit auf Ihrer Website wird.</title> <desc id="lizenzkette-desc">Horizontaler Fluss in fünf Stufen, der zeigt, wie ein Prompt an einen Coding-Assistenten zu einer Lizenzpflicht für den Website-Betreiber wird. Stufe eins ist der Entwickler-Prompt an Cursor, Copilot oder Claude. Stufe zwei ist der KI-Vorschlag, der Muster aus den Trainingsdaten reproduzieren kann. Stufe drei ist der Code im Agentur-Repository, bei dem keine Lizenzmetadaten erhalten bleiben. Stufe vier ist das an die Besucherbrowser ausgelieferte Bundle. Stufe fünf ist die öffentliche Verbreitung, bei der GPL-, MIT- oder Apache-Pflichten ausgelöst werden. Unter dem Fluss vergleichen zwei waagerechte Balken serverseitigen Code mit geringerer Exposition für nicht-AGPL-Projekte mit clientseitigem JavaScript mit voller Verbreitung an Endnutzer. Eine Anmerkung rechts verweist auf die Entscheidung vom Januar 2024 in Doe v. GitHub, mit der bestimmte DMCA-1202(b)-Ansprüche für nahezu identischen Output abgewiesen und Ansprüche wegen Verletzung von Open-Source-Lizenzen zugelassen wurden.</desc> <rect x="0" y="0" width="1200" height="540" fill="#FFFFFF"/> <text x="600" y="35" textAnchor="middle" fontFamily="Instrument Serif, serif" fontSize="20" fontWeight="600" fill="#1A1A1A">Vom Prompt zur öffentlichen Verbreitung</text> <rect x="40" y="70" width="190" height="100" rx="10" fill="#525252"/> <text x="135" y="105" textAnchor="middle" fontFamily="Instrument Serif, serif" fontSize="15" fontWeight="600" fill="#FFFFFF">Entwickler-</text> <text x="135" y="125" textAnchor="middle" fontFamily="Instrument Serif, serif" fontSize="15" fontWeight="600" fill="#FFFFFF">Prompt</text> <text x="135" y="148" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">Cursor / Copilot</text> <text x="135" y="162" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">/ Claude</text> <rect x="250" y="70" width="190" height="100" rx="10" fill="#525252"/> <text x="345" y="105" textAnchor="middle" fontFamily="Instrument Serif, serif" fontSize="15" fontWeight="600" fill="#FFFFFF">KI-Vorschlag</text> <text x="345" y="135" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">kann Muster aus</text> <text x="345" y="150" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">Trainingsdaten</text> <text x="345" y="165" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">reproduzieren</text> <rect x="460" y="70" width="190" height="100" rx="10" fill="#D97706"/> <text x="555" y="105" textAnchor="middle" fontFamily="Instrument Serif, serif" fontSize="15" fontWeight="600" fill="#FFFFFF">Agentur-Repo</text> <text x="555" y="135" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">keine Lizenz-</text> <text x="555" y="150" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">metadaten</text> <text x="555" y="165" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">erhalten</text> <rect x="670" y="70" width="190" height="100" rx="10" fill="#D97706"/> <text x="765" y="105" textAnchor="middle" fontFamily="Instrument Serif, serif" fontSize="15" fontWeight="600" fill="#FFFFFF">In Ihre Site</text> <text x="765" y="125" textAnchor="middle" fontFamily="Instrument Serif, serif" fontSize="15" fontWeight="600" fill="#FFFFFF">gebündelt</text> <text x="765" y="150" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">an Browser-</text> <text x="765" y="165" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">besucher ausgeliefert</text> <rect x="880" y="70" width="220" height="100" rx="10" fill="#B91C1C"/> <text x="990" y="105" textAnchor="middle" fontFamily="Instrument Serif, serif" fontSize="15" fontWeight="600" fill="#FFFFFF">Öffentliche Verbreitung</text> <text x="990" y="135" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">GPL / MIT / Apache</text> <text x="990" y="150" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">Pflichten</text> <text x="990" y="165" textAnchor="middle" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#FFFFFF">treten hier ein</text> <path d="M 230 120 L 248 120" stroke="#1A1A1A" strokeWidth="2"/> <polygon points="252,120 244,115 244,125" fill="#1A1A1A"/> <path d="M 440 120 L 458 120" stroke="#1A1A1A" strokeWidth="2"/> <polygon points="462,120 454,115 454,125" fill="#1A1A1A"/> <path d="M 650 120 L 668 120" stroke="#1A1A1A" strokeWidth="2"/> <polygon points="672,120 664,115 664,125" fill="#1A1A1A"/> <path d="M 860 120 L 878 120" stroke="#1A1A1A" strokeWidth="2"/> <polygon points="882,120 874,115 874,125" fill="#1A1A1A"/> <text x="80" y="240" fontFamily="Instrument Serif, serif" fontSize="16" fontWeight="600" fill="#1A1A1A">Exposition nach Code-Ort</text> <rect x="80" y="260" width="500" height="40" rx="6" fill="#1B7D56" fillOpacity="0.5"/> <text x="95" y="285" fontFamily="DM Sans, sans-serif" fontSize="13" fontWeight="500" fill="#1A1A1A">Serverseitiger Code: geringere Exposition (AGPL ausgenommen)</text> <rect x="80" y="310" width="900" height="40" rx="6" fill="#B91C1C"/> <text x="95" y="335" fontFamily="DM Sans, sans-serif" fontSize="13" fontWeight="500" fill="#FFFFFF">Clientseitiges JavaScript: volle Verbreitung an Endnutzer</text> <rect x="700" y="220" width="460" height="120" rx="8" fill="#F5F5F5" stroke="#525252" strokeWidth="1"/> <text x="720" y="245" fontFamily="DM Sans, sans-serif" fontSize="12" fontWeight="600" fill="#1A1A1A">Doe v. GitHub, Januar 2024</text> <text x="720" y="265" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#1A1A1A">DMCA-1202(b)-Ansprüche für "nahezu identische,</text> <text x="720" y="280" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#1A1A1A">nicht wörtliche" Outputs endgültig abgewiesen.</text> <text x="720" y="300" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#1A1A1A">Ansprüche wegen Open-Source-Lizenzverletzung</text> <text x="720" y="315" fontFamily="DM Sans, sans-serif" fontSize="11" fill="#1A1A1A">zugelassen. Verfahren läuft.</text> <rect x="60" y="400" width="1080" height="110" rx="10" fill="#F0FDF4" stroke="#1B7D56" strokeWidth="1.5"/> <text x="80" y="430" fontFamily="Instrument Serif, serif" fontSize="16" fontWeight="600" fill="#145E40">Wo das Lizenzgewicht liegt</text> <text x="80" y="455" fontFamily="DM Sans, sans-serif" fontSize="13" fill="#1A1A1A">Der Maintainer, der seinen Code entdeckt, wendet sich an die verbreitende Stelle. Das</text> <text x="80" y="473" fontFamily="DM Sans, sans-serif" fontSize="13" fill="#1A1A1A">ist der Betreiber, nicht die Entwicklerin und nicht der KI-Anbieter. Der Vertrag zwischen</text> <text x="80" y="491" fontFamily="DM Sans, sans-serif" fontSize="13" fill="#1A1A1A">Entwicklerin und KI-Anbieter bleibt im Hintergrund. Der Betreiber steht vorn.</text> </svg> <figcaption>Das rechtliche Gewicht sitzt in der letzten Stufe. Je weiter Sie in der Kette sind, desto mehr tragen Sie.</figcaption> </figure>

Was die KI tatsächlich getan hat

Coding-Assistenten wie GitHub Copilot, Cursor, Claude und Cody wurden auf riesigen Mengen öffentlichen Quellcodes trainiert, darunter Repositories unter GPL, MIT, Apache und BSD. Das Training hat keine Attributionsmetadaten erhalten, und die Modelle haben Muster gelernt, nicht ganze Dateien. Wenn die Entwicklerin einen Prompt abgibt, erzeugt das Modell einen Output, der manchmal eine neue Konstruktion ist und manchmal eine nahezu identische Reproduktion einer bestimmten Trainingsdatei. Der Assistent warnt nicht, welche Variante vorliegt, und liefert weder einen SPDX-Header noch einen Urheberrechtshinweis mit.

Das ist die technische Tatsache unter der Rechtsfrage. Das Modell ist nicht lizenziert, Trainingscode weiterzuverbreiten, und die Entwicklerin erhält kein Signal, wenn der Output einer bestimmten Quelle strukturell sehr nahe kommt.

Im österreichischen Urheberrecht (öUrhG) und im deutschen UrhG schützt das Recht den Werkschöpfer. Vervielfältigung und öffentliche Zugänglichmachung ohne Erlaubnis sind unzulässig. Eine Open-Source-Lizenz ist genau diese Erlaubnis, gewährt unter Auflagen wie Namensnennung, Lizenzerhaltung oder Copyleft-Bedingungen. Wer die Auflagen ignoriert, hat keine Berechtigung. Der laufende Verfahrenskontext um Robert Kneschke v LAION (LG Hamburg, 2024 ff.) betrifft die Trainingsdatenebene und ist für die Frage der Lizenzeinhaltung beim Output ergänzendes, kein deckungsgleiches Material.

Wer ist exponiert

Der Website-Betreiber verbreitet den Code, der an Besucher ausgeliefert wird. Ein Browser, der Ihre Startseite lädt, empfängt das JavaScript-Bundle. Unter der GPL und vergleichbaren Copyleft-Lizenzen ist das eine Verbreitung an den Endnutzer. Der Betreiber ist die Stelle, die den Code zugänglich macht, unabhängig davon, ob er die Zeile selbst geschrieben hat, die Agentur das getan hat oder eine KI sie vorgeschlagen hat.

Das ist dieselbe Haftungskette, die bei urheberrechtlichen Problemen einer Agentur greift. Die Vor-KI-Version ist die Designerin, die ein nicht lizenziertes Getty-Foto in den Slider stellt. Die Nach-KI-Version ist die Entwicklerin, die einen Copilot-Vorschlag akzeptiert, der eine GPL-Quelldatei reproduziert. Die Struktur ist identisch. Die Partei, die nach außen einsteht, ist der Betreiber. Die interne Kostenaufteilung zwischen Betreiber und Agentur regelt der Vertrag.

Daneben steht die breitere Frage, wer zahlt, wenn KI-gebaute Websites die Compliance verletzen. DSGVO- und Barrierefreiheits-Haftung treffen den Betreiber nach demselben Grundsatz. Das Urheberrecht am KI-generierten Code ist die Urheberrechtsecke derselben Karte.

Was die Gerichte tatsächlich gesagt haben

Der Leitfall ist Doe v. GitHub, Inc., eingebracht im November 2022 im Northern District of California. Anonyme Entwicklerklägerinnen verklagen GitHub, Microsoft und OpenAI wegen des Trainings von Copilot auf öffentlichem Open-Source-Code. Die Verfahrensstellung bewegt sich, und die Tabelle unten ist ein Stand zum Mai 2026. Verifizieren Sie, bevor Sie sich darauf verlassen.

<!-- LAST VERIFIED: 2026-05-15 --> <figure className="my-8"> <table> <caption>Doe v. GitHub Stand der Ansprüche, Mai 2026.</caption> <thead> <tr> <th scope="col">Anspruch</th> <th scope="col">Stand Mai 2026</th> <th scope="col">Was das für Ihre Site bedeutet</th> </tr> </thead> <tbody> <tr> <th scope="row">DMCA § 1202(b) zur Entfernung von Copyright-Management-Informationen</th> <td>Endgültig abgewiesen im Januar 2024 für "nahezu identische" Outputs</td> <td>Eine Wiederbelebung verlangte wörtliche Reproduktion. KMU-Risiko: gering auf diesem Pfad.</td> </tr> <tr> <th scope="row">Verletzung von Open-Source-Lizenzbedingungen (MIT, GPL, Apache und andere)</th> <td>Zugelassen</td> <td>Open-Source-Lizenzen werden als durchsetzbare Verträge behandelt. KMU-Risiko: mittel, wo clientseitiger Code den Output verbreitet.</td> </tr> <tr> <th scope="row">Eingriff in geschäftliche Beziehungen und unlauterer Wettbewerb</th> <td>Gemischte Ergebnisse, einige Ansprüche überlebten</td> <td>Nicht unmittelbar KMU-relevant. Der Streit verläuft zwischen Klägern und KI-Anbieter.</td> </tr> <tr> <th scope="row">Ungerechtfertigte Bereicherung</th> <td>Abgewiesen</td> <td>Nicht KMU-relevant.</td> </tr> </tbody> </table> <figcaption>Eine lebendige Verfahrensstellung. Verifizieren Sie, bevor Sie sich darauf verlassen.</figcaption> </figure>

Die Kernaussage ist eng. Das Gericht hat die zentrale Sachfrage noch nicht entschieden, ob ein KI-Output, der dem Trainingscode wesentlich gleicht, die Ursprungslizenz verletzt. Was es getan hat, ist die Anspruchsgrundlagen zu sortieren. Der technische Weg über "Entfernung von Copyright-Management-Informationen" nach DMCA § 1202(b) ist verschlossen, wo der Output "nahezu identisch mit semantisch unerheblichen Abweichungen" ist. Der Vertragsweg, der eine Open-Source-Lizenz als bindenden Vertrag behandelt, dessen Nutzung durch den KI-Anbieter ihn verletzt, bleibt offen. Verfahrensaktualisierungen erscheinen auf dem BakerHostetler-Tracker und auf der Fallseite der Klägerkanzlei. Letzteres ist eine Parteidarstellung und sollte so eingeordnet werden.

GPL-Verbreitung und Ihre Website

Die Rechtsfrage hängt an einer technischen. Was zählt als Verbreitung des Codes?

Copyleft-Lizenzen vom GPL-Typ knüpfen Pflichten zur Namensnennung und Quellenbereitstellung an jeden, der ein geschütztes Werk verbreitet. Auslöser ist die Verbreitung an einen Endnutzer. Für eine Website zerfällt das in zwei Fälle.

Clientseitiges JavaScript, das an den Browser des Besuchers ausgeliefert wird, ist Verbreitung. Jeder Seitenaufruf liefert das Bundle an einen Dritten, genau der GPL-Verbreitungsfall. Enthält das Bundle Code, der einer GPL-lizenzierten Datei wesentlich gleicht, greifen die Pflichten zur Namensnennung und Quellenbereitstellung.

Serverseitiger Code, der Ihren Server nie verlässt, ist in der Regel keine GPL-Verbreitung. Die Ausnahme ist die AGPL, deren Section 13 die Netzwerknutzung als Verbreitung behandelt. Die meisten österreichischen KMU-Sites betreiben keinen AGPL-lizenzierten Backend-Code, sodass die praktische Exposition sich im clientseitigen Bundle konzentriert: Formularvalidierung, Animationen, Modals, Hilfsfunktionen. Genau die Art kleiner Funktionen, die eine Entwicklerin von einer KI schreiben lässt.

Daher wiegt die KI-Code-Frage für das Frontend Ihrer Website schwerer als für das Backend. Ein WordPress-Plugin mit von Copilot vorgeschlagenem PHP auf dem Server hat für nicht-AGPL-Code geringere Exposition als eine React-Komponente, die der Assistent schrieb und die an jeden Besucher ausgeliefert wird.

Wie realistisch ist das Risiko

Ehrliche Wahrscheinlichkeitsreihe, vom Wahrscheinlichsten zum Unwahrscheinlichsten.

Das erste realistische Szenario ist eine Investorin oder ein Käufer, der vor einer Finanzierungsrunde oder einem Exit Due Diligence am Code macht. Ihre Anwälte lassen einen Lizenzscanner wie FOSSA, ScanCode oder licensee laufen. Findet der Scanner GPL-Code in einem proprietären Produkt, stellt das Deal-Team Fragen. Das übliche Ergebnis ist ein Sanierungsbudget und eine Verzögerung, kein geplatzter Deal. So erfahren KMU am häufigsten von dem Problem.

Das zweite ist ein Open-Source-Maintainer, der seinen Code in Ihrem öffentlichen Bundle bemerkt. Größere Projekte haben Community-Mitglieder, die auf unattribuierte Wiederverwendung achten. Der Erstkontakt ist eine höfliche E-Mail mit Bitte um Namensnennung. Eskalation sieht aus wie ein DMCA-Takedown an Ihren Hoster, das den Dienst unterbricht, bis Sie reagieren. Klagen auf diesem Niveau bleiben für KMU selten, weil die Prozesskosten den Recovery gegen ein kleines Unternehmen übersteigen.

Das dritte ist die Durchsetzung durch eine Copyleft-Lizenz-Stewardorganisation wie die Software Freedom Conservancy. Diese Organisationen führen Verfahren, ihr Muster ist aber lange Korrespondenz vorab und das Anvisieren von Hardware-Herstellern oder größeren Softwarehäusern. Für eine KMU-Website ist die Schwelle hoch.

In der Praxis ist das Wochen-für-Wochen-Risiko für eine kleine Unternehmens-Website Null. Das Risiko konzentriert sich auf drei Momente: eine Finanzierungsrunde, eine Veräußerung oder ein Maintainer, der im Netz nach seiner unverwechselbaren Funktion sucht. Keiner ist in einem beliebigen Monat wahrscheinlich, aber alle sind vorhersehbar und vermeidbar.

Praktische Vorkehrungen, wenn Sie oder Ihre Entwicklerin KI-Tools nutzen

Fünf Dinge zu tun. Keines davon ist eine rechtliche Verteidigung, und niemand sollte es Ihnen so verkaufen. Es ist Engineering-Hygiene, die die Wahrscheinlichkeit senkt, dass das Problem überhaupt an die Oberfläche kommt.

Erstens: Aktivieren Sie den Duplikatfilter in Copilot, Cursor oder einem anderen Coding-Assistenten, der einen anbietet. Der Filter blockiert Vorschläge, die oberhalb einer Ähnlichkeitsschwelle zu Trainingsdaten passen. Er beseitigt keinen nahezu identischen Output, mindert aber den schlimmsten Fall. Bestätigen Sie, dass die Einstellung in der tatsächlichen Editorkonfiguration der Entwicklerin aktiv ist, nicht nur im Team-Konto.

Zweitens: Lassen Sie vor dem Deployment einen Lizenzscanner laufen. Kostenlos: licensee, scancode-toolkit und ort (OSS Review Toolkit). Kommerziell: FOSSA, Snyk Licence und Black Duck. Der Scanner liest Ihre Package-Manifeste und den Quellbaum und markiert Lizenzen, die mit Ihrem Verbreitungsmodell kollidieren. Einmal auf dem Produktionsbundle laufen ist deutlich nützlicher als nie.

Drittens: Ist Ihre Entwicklerin auf bezahltem Copilot Business oder Enterprise unterwegs, bietet GitHub eine IP-Freistellungsverpflichtung gegen Drittansprüche aus Copilot-Outputs, bedingt durch den aktiven Duplikatfilter. Das ist eine substanzielle vertragliche Absicherung, aber an die Filtereinstellung gekoppelt, auf die genannten Pläne begrenzt, und Sie sollten die aktuellen Bedingungen prüfen, bevor Sie sich darauf verlassen. Kostenloses Copilot, Cursor, Claude und Cody bieten im Mai 2026 keine vergleichbare Zusage.

Viertens: Aktualisieren Sie den Agenturvertrag. Fügen Sie eine Klausel ein, wonach die Agentur keinen KI-assistierten Code einsetzt, der GPL- oder AGPL-Outputs aufnimmt, ohne Sie ausdrücklich schriftlich zu benachrichtigen, und wonach die Agentur garantiert, dass die ausgelieferte Website keine Drittlizenzen verletzt. Das schützt Sie nicht vor dem Maintainer, der etwas entdeckt. Es gibt Ihnen einen Weg, die Kosten an die Agentur zurückzuspielen, wenn ein Anspruch eintritt.

Fünftens: Führen Sie eine Software Bill of Materials für Ihr clientseitiges Bundle. Werkzeuge wie cyclonedx-bom oder die SBOM-Exporte moderner Bundler listen jede Abhängigkeit mit ihrer Lizenz auf. Tritt in einem Jahr eine Frage auf, spart das SBOM des betreffenden Releases eine Woche Arbeit.

Unser kostenloser Compliance-Scan prüft DSGVO, Cookies, Barrierefreiheit und Bildrechte auf der Live-Site. Er prüft die Einhaltung von Open-Source-Lizenzen nicht, das ist Arbeit in der Entwickler-Toolchain. Behandeln Sie die beiden als parallele Spuren an derselben Site.

Was sich am 9. Dezember 2026 ändert

Die Richtlinie (EU) 2024/2853, die neue Produkthaftungsrichtlinie, behandelt Software einschließlich KI-Systeme ab dem 9. Dezember 2026 als Produkt. Artikel 4 bringt KI-Tools in den Anwendungsbereich. Artikel 2(2) nimmt Open-Source-Software, die außerhalb einer kommerziellen Tätigkeit entwickelt wurde, aus, sodass die Open-Source-Maintainerin nicht Beklagte in einem PLD-Anspruch ist. Die kommerzielle KI-Anbieterin schon.

Die Relevanz für KI-generierten Code ist eng. Ein kleines Unternehmen, das durch ein fehlerhaftes KI-Tool geschädigt wird, etwa wenn die KI Code mit einer Sicherheitslücke ausgibt, die zu einem Datenleck mit Schaden für eine natürliche Person führt, kann unter der Richtlinie einen neuen verschuldensunabhängigen Anspruchsweg gegen den KI-Anbieter haben. Der Anspruch betrifft Schäden an natürlichen Personen und gilt nur für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht werden, in Mitgliedstaaten, die umgesetzt haben. Die PLD ist kein Weg, eine DSB-Geldbuße zurückzuholen, und greift nicht rückwirkend auf bestehende Tools. Die Produkthaftungsrichtlinie im Detail behandelt Anwendungsbereich und Ausnahmen.

Was das nicht ist

Dieser Artikel betrifft Open-Source-Lizenz-Exposition, wenn eine KI Code auf Ihrer Site schreibt. Drei angrenzende Themen teilen Wörter mit diesem.

Chatbot-Offenlegung und die Kennzeichnung KI-generierter Marketingtexte fallen unter Artikel 50 der KI-Verordnung und KI-generierte Inhalte, ein anderes Regime als das Urheberrecht am Quellcode. Die Bildseite, auf der KI-generierte Illustrationen oder Fotografien Schutzrechte verletzen können, behandelt KI-generierte Bilder auf Ihrer Site. Die Cookie-Banner- und Barrierefreiheitsvariante derselben Haftungskette ist die breitere DSGVO- und Barrierefreiheitsfrage. Für die Vor-KI-Version eines Bildmahnschreibens siehe die Anleitung zu Getty-Abmahnungen in Österreich oder die Hinweise zu Abmahnungen wegen Bildern.

Häufige Fragen

Beseitigt der Duplikatfilter von Copilot das Risiko?

Nein. Der Filter verringert die Wahrscheinlichkeit einer wörtlichen Reproduktion von Trainingsdaten, das ist der schlimmste Fall. Er beseitigt nicht den Output, der einer bestimmten Open-Source-Datei beinahe identisch gleicht. Behandeln Sie den Filter als Risikominderung, nicht als rechtlichen Schutz.

Hafte ich, wenn mein Freelancer Cursor ohne mein Wissen verwendet hat?

Der Website-Betreiber ist diejenige Partei, die den Code an Besucher verbreitet. Ein Open-Source-Maintainer, der seinen Code in Ihrem Bundle entdeckt, schreibt an den Inhaber der Domain. Ihr Freelancer schuldet Ihnen vertraglich vielleicht eine Korrektur, aber die nach außen sichtbare Verantwortung liegt bei Ihnen.

Gilt das für serverseitigen Code oder nur für clientseitigen?

Vorwiegend clientseitig. Code, der an den Browser ausgeliefert wird, ist eine Verbreitung im Sinne der GPL und löst Pflichten zur Namensnennung und Quellenbereitstellung aus. Serverseitiger Code, der Ihren Server nie verlässt, ist in der Regel keine GPL-Verbreitung, mit Ausnahme der AGPL, bei der die Netzwerknutzung nach Section 13 als Verbreitung gilt.

Gibt es ein KI-Codetool, das sicherer ist als andere?

Bezahlte Copilot-Business- und Enterprise-Pläne enthalten eine IP-Freistellung von GitHub, sofern der Duplikatfilter aktiviert ist. Für Cursor, Claude, Cody oder die kostenlosen Copilot-Stufen gibt es im Mai 2026 keine vergleichbare standardisierte Zusage. Prüfen Sie die aktuellen Bedingungen, bevor Sie sich auf ein Versprechen eines Anbieters verlassen.

Weiterführende Artikel

Cluster-Beiträge, die hierzu passen:

• Das vollständige Haftungsbild für KI-gebaute Sites. Der Pivot-Artikel zu DSGVO-, EAA- und Cookie-Recht-Haftung bei KI-assistierten Sites.
• KI-generierte Bilder auf Ihrer Website. Die Bildseite der KI-Output-Urheberrechtsfrage.
• Produkthaftungsrichtlinie 2024/2853. Verschuldensunabhängige Ansprüche für Schäden durch fehlerhafte KI-Tools, anwendbar ab 9. Dezember 2026.
• Abmahnungen wegen Bildern auf der Website. Die Vor-KI-Praxis zu urheberrechtlichen Forderungsschreiben.

Dieser Artikel ist technische Analyse, keine Rechtsberatung. Der Autor ist nicht Ihr Anwalt. Für eine bindende Einschätzung zu einer konkreten Lizenzfrage sprechen Sie mit einem Anwalt.